Votre compte vient d'être piraté. Ou vous pensez que c'est le cas. Quoi qu'il en soit, la première règle est simple : ne paniquez pas, agissez dans l'ordre. Chaque minute compte, mais les erreurs faites sous stress peuvent aggraver la situation.
Vous venez d'être bloqué d'un compte ? Voyez mot de passe oublié, que faire.
Si une entreprise que vous utilisez a été touchée, suivez que faire après une fuite de données.
Pas sûr d'avoir été exposé ? Vérifiez avec mon mot de passe a-t-il fuité ?.
Ce guide vous donne la séquence exacte des actions à mener, dans le bon ordre, avec les bonnes priorités.
01 - Respirez. Voici ce qui va se passer dans les 10 prochaines minutes
Si votre compte a été compromis, l'attaquant a probablement deux objectifs : récupérer de l'argent ou du contenu, et utiliser votre compte comme tremplin pour attaquer vos autres comptes. La bonne nouvelle : vous pouvez couper les deux rapidement si vous agissez maintenant - les actions prioritaires ci-dessous ne prennent que quelques minutes.
Ce guide suit une logique de triage : on traite d'abord ce qui limite les dégâts immédiats, puis on sécurise la durée.
02 - Les 5 premières minutes : actions immédiates
Étape 1 - Changer le mot de passe du compte touché
Si vous avez encore accès au compte, allez immédiatement dans les Paramètres → Sécurité → Modifier le mot de passe.
Utilisez un mot de passe fort et unique : au moins 16 caractères, mélange de lettres, chiffres, et symboles. Pas question d'utiliser quelque chose que vous utilisez ailleurs - c'est exactement ce genre de réutilisation qui permet le piratage en cascade. Utilisez notre générateur de mots de passe pour en créer un solide immédiatement, et notre vérificateur de solidité pour valider votre choix avant de l'enregistrer.
Si vous n'avez plus accès, cliquez sur « Mot de passe oublié » ou « Se connecter autrement » et déclenchez une réinitialisation vers votre email de récupération.
Étape 2 - Changer le mot de passe de votre email principal
C'est souvent la priorité que les gens oublient. Si un attaquant contrôle votre messagerie, il peut déclencher la réinitialisation de tous vos comptes - banque, réseaux sociaux, Netflix, Amazon - depuis cette adresse. Changez votre mot de passe email maintenant, avant de faire autre chose.
Votre nouveau mot de passe email doit être différent de celui du compte piraté et de tous vos autres comptes.
Étape 3 - Déconnecter toutes les sessions actives
Dans les paramètres de sécurité du compte compromis, cherchez « Sessions actives », « Appareils connectés » ou « Gérer les sessions ». Déconnectez tous les appareils sauf le vôtre. Sur Gmail : Paramètres → Sécurité → Vos appareils. Sur Facebook : Paramètres → Sécurité → Sessions actives.
Cette action expulse l'attaquant instantanément, même s'il était encore connecté avec un token valide.
03 - Dans les 30 premières minutes : renforcer la sécurité
Activer la 2FA sur le compte piraté
La double authentification (2FA) signifie que même si quelqu'un connaît votre mot de passe, il ne peut pas se connecter sans le code supplémentaire. Activez-la sur le compte piraté en premier, puis sur votre email.
Utilisez une application d'authentification, pas le SMS : les attaques de SIM-swapping permettent de rediriger vos SMS vers l'attaquant. Une application comme Google Authenticator ou Bitwarden Authenticator génère les codes localement, sans passer par le réseau téléphonique.
Vérifier les paramètres de récupération
Assurez-vous que l'attaquant n'a pas modifié votre adresse de récupération ou votre numéro de téléphone de récupération. Vérifiez aussi les règles de transfert d'emails (un attaquant peut avoir configuré une règle pour recevoir une copie de tous vos emails sans que vous vous en rendiez compte).
Changer les mots de passe des comptes liés
Si vous avez utilisé le même mot de passe sur d'autres sites (banque, réseaux sociaux, email professionnel), changez-les maintenant. C'est le risque numéro un : un seul mot de passe volé compromet tout le reste.
Vérifiez sur haveibeenpwned.com si votre email apparaît dans des fuites de données connues.
04 - La vraie solution durable : un gestionnaire de mots de passe
Le piratage d'un compte n'arrive pas par hasard. La cause numéro un reste la réutilisation de mots de passe : un seul site piraté, et tous vos autres comptes utilisant le même mot de passe deviennent vulnérables. La cause numéro deux : des mots de passe trop simples, faciles à deviner ou à trouver par force brute.
Un gestionnaire de mots de passe résout définitivement ces deux problèmes : il génère un mot de passe fort et unique pour chaque site, le stocke chiffré, et le remplit automatiquement. Vous n'avez plus qu'un seul mot de passe à retenir - le mot de passe maître.
Bitwarden : gratuit, open source, audité
Bitwarden est notre recommandation principale pour une raison simple : le plan gratuit est complet et sans limite (coffre illimité, synchronisation sur tous vos appareils, générateur de mots de passe). Le code est open source et a été audité par Cure53 en 2022 - n'importe qui peut vérifier qu'il fait ce qu'il dit.
Pour les utilisateurs soucieux de leur vie privée, Bitwarden Premium (10 USD/an) ajoute les alertes automatiques de fuite de données - vous êtes averti dès qu'un de vos mots de passe apparaît dans une nouvelle fuite.
Voir notre avis complet Bitwarden 2026 pour les détails techniques.
Essayer Bitwarden gratuitement →Plan gratuit complet · Coffre illimité · Open source audité Cure53→Proton Pass : pour l'écosystème privacy
Si vous utilisez déjà Proton Mail ou Proton VPN, Proton Pass s'intègre naturellement dans cet écosystème. Plan gratuit disponible, chiffrement bout-en-bout des métadonnées (contrairement à la plupart des concurrents qui chiffrent uniquement les mots de passe, pas les URLs ni les noms des comptes).
Proton Pass est particulièrement adapté si vous cherchez une solution privacy-first avec un fournisseur basé en Suisse, hors juridiction RGPD standard.
Notre comparatif Proton Pass vs Bitwarden vous aide à choisir selon votre profil.
Essayer Proton Pass →Plan gratuit · Chiffrement E2EE métadonnées · Écosystème Proton→05 - Checklist récapitulative
Voici les actions dans l'ordre, à cocher au fur et à mesure :
- Mot de passe du compte piraté changé
- Mot de passe de l'email principal changé
- Toutes les sessions actives déconnectées
- 2FA activée sur le compte piraté (application, pas SMS)
- 2FA activée sur l'email principal
- Paramètres de récupération vérifiés (adresse email, numéro de téléphone)
- Règles de transfert d'emails vérifiées (aucune ajoutée par l'attaquant)
- Comptes utilisant le même mot de passe changés
- Vérification sur haveibeenpwned.com effectuée
- Gestionnaire de mots de passe installé pour éviter la récidive
06 - Pour aller plus loin
- Meilleur gestionnaire de mots de passe 2026 - notre classement complet
- Meilleure app authentificateur 2FA - Aegis, Google Auth, Bitwarden Authenticator comparés
- Passkeys vs mots de passe - la technologie qui pourrait remplacer les mots de passe définitivement
PwdFortress perçoit une commission si vous souscrivez Bitwarden Premium ou Proton Pass via les liens de cet article. Cela ne change ni le prix payé ni le contenu éditorial - les recommandations sont fondées sur les capacités documentées et les audits publiés.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Verrouille tes comptes → NordPassMots de passe forts et uniques · scanner de fuites · offre gratuite→Questions fréquentes
Mon email a été piraté, que faire en premier ?
Si votre email est compromis, **c'est l'urgence maximale** : l'attaquant peut réinitialiser tous vos comptes (banque, réseaux sociaux, e-commerce). Première action : tentez de récupérer l'accès via le formulaire de récupération du fournisseur (Gmail, Outlook...). Si vous récupérez l'accès : changez le mot de passe immédiatement, activez la 2FA, déconnectez les autres sessions, vérifiez si des règles de redirection ont été ajoutées (signes d'espionnage de vos emails). Si vous ne récupérez plus l'accès : contactez le support du fournisseur en urgence avec preuve d'identité.
Comment savoir si mon mot de passe a fuité ?
Allez sur **[haveibeenpwned.com](https://haveibeenpwned.com)** - entrez votre adresse email pour voir dans quelles fuites de données connues votre compte apparaît. Ce service recense plus de 12 milliards de comptes compromis. Si votre email y apparaît, changez les mots de passe de tous les comptes associés à cette adresse. Bonus : Bitwarden Premium et Proton Pass intègrent cette vérification directement dans le gestionnaire, avec alertes automatiques en cas de nouvelle fuite.
Faut-il payer pour un gestionnaire de mots de passe ?
**Non, pas pour commencer.** Bitwarden propose un plan gratuit complet : coffre illimité, synchronisation sur tous vos appareils (mobile, PC, navigateur), générateur de mots de passe forts. Proton Pass propose aussi un plan gratuit solide. La version payante (Bitwarden Premium à 10 USD/an, Proton Pass à 12 USD/an) ajoute les alertes de fuite automatiques, la 2FA hardware (YubiKey), et l'audit de santé du coffre. Pour la plupart des utilisateurs, la version gratuite est suffisante pour éliminer le risque de réutilisation de mots de passe.
Dois-je prévenir quelqu'un si mon compte a été piraté ?
Oui, dans certains cas. **Votre banque** : si votre compte bancaire ou un service financier est touché, appelez immédiatement le service fraude. **Vos contacts** : si votre compte email ou réseau social a envoyé des messages frauduleux depuis votre nom, prévenez vos contacts pour qu'ils n'ouvrent pas les liens. **Votre employeur** : si le compte piraté donne accès à des ressources professionnelles. En France, vous pouvez également signaler un piratage sur **[cybermalveillance.gouv.fr](https://www.cybermalveillance.gouv.fr)**.
Mon compte a été piraté mais je n'ai pas réutilisé mon mot de passe, comment est-ce possible ?
Plusieurs scénarios sans réutilisation de mot de passe : (1) **Phishing** : vous avez saisi votre mot de passe sur un faux site ressemblant au vrai. (2) **Fuite côté service** : la base de données du service a été compromise et les mots de passe mal protégés (chiffrement faible). (3) **Malware / keylogger** : un logiciel malveillant installé sur votre appareil capture les frappes clavier. (4) **SIM-swapping** : l'attaquant a transféré votre numéro de téléphone pour intercepter les codes SMS de récupération. Solution à long terme : la 2FA via application (pas SMS) + un gestionnaire de mots de passe qui détecte les sites de phishing.
